Registreren voor de Cyberbeveiligingswet: wie, hoe en wat

· Yunus Yildiz

Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet (Cbw), zonder overgangsperiode. Een van de drie plichten die de wet oplegt is registratie: organisaties die eronder vallen moeten geregistreerd zijn in het nationale entiteitenregister op MijnNCSC. De andere twee zijn maatregelen nemen en incidenten melden.

Voor softwarebedrijven begint het met een eerdere vraag: moet jij je überhaupt registreren?

Val je eronder?

Het NCSC zegt het zo: of de Cbw voor jou geldt, "hangt af van twee dingen: je sector en de omvang van je organisatie".

Sector. De wet noemt achttien sectoren in twee bijlagen. Voor softwarebedrijven zijn er drie relevant:

  • Digitale infrastructuur (bijlage 1), waaronder aanbieders van clouddiensten en datacenterdiensten.
  • Beheer van ICT-diensten (bijlage 1), dat wil zeggen managed service providers en managed security service providers.
  • Digitale aanbieders (bijlage 2): online marktplaatsen, zoekmachines en sociale netwerken.

Een bedrijf dat alleen software ontwikkelt en verkoopt, zonder die software voor klanten te hosten of te beheren, staat in geen van deze sectoren. Een SaaS-aanbieder wel: onder NIS2 is SaaS een vorm van cloudcomputing (overweging 33 van de richtlijn). En wie voor klanten ICT-producten, netwerken of applicaties installeert, beheert, exploiteert of onderhoudt, op locatie of op afstand, kan een managed service provider zijn (artikel 6, punt 39, van de richtlijn).

Omvang. Je organisatie is groot genoeg als je 50 of meer fte hebt, of minder dan 50 fte maar zowel een jaaromzet als een balanstotaal boven € 10 miljoen. Tel partner- en verbonden ondernemingen mee, zoals een moedermaatschappij of dochters. Voor enkele typen organisaties geldt geen omvangseis, zoals DNS-dienstverleners, verleners van vertrouwensdiensten en overheidsorganisaties.

Twijfel je, dan is de NIS2-Zelfevaluatie van de RDI volgens het NCSC de snelste route. Die vertelt je ook of je 'essentieel' of 'belangrijk' bent.

Val je er niet onder, dan hoef je je niet te registreren. Je klanten kunnen de wet dan nog steeds bij je neerleggen, als contractuele eis: zie wat Cbw-klanten van hun softwareleverancier mogen vragen.

Wat je nodig hebt voordat je begint

Inloggen. Registreren gaat via mijn.ncsc.nl met eHerkenning (of SSOnRijk voor aangesloten Rijksoverheidsorganisaties). Je hebt betrouwbaarheidsniveau EH2+ nodig én een machtiging om namens je organisatie te registreren, en het middel moet gekoppeld zijn aan het KvK-nummer van de organisatie die zich registreert. Heb je nog geen eHerkenning, vraag het dan eerst aan: dat kan volgens het NCSC enkele dagen duren.

Netwerkgegevens. Dit is het deel dat de meeste tijd kost. Je geeft je publieke IP-adressen of IP-reeksen, domeinnamen en AS-nummers op. Het NCSC noemt het zelf "niet makkelijk, wel essentieel". Die gegevens liggen vaak bij verschillende mensen; verzamel ze vooraf.

De juiste persoon. Het NCSC adviseert iemand met kennis van cybersecurity (een CISO of security-expert) en iemand met beslissingsbevoegdheid, of één persoon die beide heeft.

Het formulier, stap voor stap

  1. Organisatiegegevens worden opgehaald uit het handelsregister van de KvK. Klopt er iets niet, pas het dan aan in de bron.
  2. Aanvullende gegevens. Verplicht zijn je hoofd- en subsectoren, je dienstverlening, de EU-lidstaten waar je diensten levert en waar je hoofdvestiging is, of je essentieel of belangrijk bent, of je bent aangewezen bij ministerieel besluit, en aan welke samenwerkingsverbanden (zoals ISAC's) je deelneemt. Optioneel: aantal fte, jaaromzet en balanstotaal, als indicatie.
  3. Contactgegevens van de eerste contactpersoon: iemand die bereikbaar is bij incidenten.
  4. Netwerkgegevens: IP-adressen of -reeksen, domeinnamen, AS-nummers.
  5. Samenvatting en versturen. Je verklaart dat je het formulier naar waarheid hebt ingevuld en wijzigingen binnen 14 dagen doorgeeft.

De fout die je voorkomt: jouw sector, niet die van je klant

De sectoren worden voorgevuld op basis van je SBI-codes bij de KvK. Controleer ze. Het NCSC geeft zelf het voorbeeld: levert je organisatie clouddiensten aan zorginstellingen, dan is je sector "'Digitale infrastructuur' en niet 'Gezondheidszorg'". Het gaat om de sectoren waarin je zelf actief bent.

Actief in meer landen?

Je kunt je niet in één keer voor de hele EU registreren. De hoofdregel is dat je valt onder de wet van elk land waar je gevestigd bent en diensten verleent. Voor wat het NCSC "internetdiensten" noemt, geldt een uitzondering: aanbieders van clouddiensten, datacenters, contentdelivery, MSP's en MSSP's (en enkele andere digitale diensten) registreren zich in het land van hun hoofdvestiging in de EU. Dat is de vestiging waar de beslissingen over cyberbeveiligingsmaatregelen in hoofdzaak worden genomen.

Na de registratie

  • Wijzigingen binnen 14 dagen. Verandert je IP-reeks, je contactpersoon of je dienstverlening, dan geef je dat binnen 14 dagen door via MijnNCSC. Dat is een wettelijke plicht, geen advies. Leg in je changeproces vast wie dat doet.
  • Toegang tot je sectorale CSIRT. Na registratie kun je volgens het NCSC aansluiten op de dienstverlening van je sectorale CSIRT, inclusief ondersteuning bij incidenten.
  • De andere twee plichten. Registratie is het begin. De zorgplicht (maatregelen) en de meldplicht (incidenten) gelden al sinds 15 augustus.

Als je ook software levert

Een SaaS-aanbieder die ook een mobiele app, desktopclient of agent levert, valt voor die producten daarnaast onder de Cyber Resilience Act. De Cbw regelt dan je organisatie, de CRA je product. Hoe die twee zich verhouden staat in CRA vs NIS2; of je backend onder de CRA valt, in does the CRA apply to SaaS.

Bronnen

Dit artikel geeft onze lezing van de genoemde bronnen weer op de datum hierboven. Het is geen juridisch advies. Laat je eigen positie onder de Cbw beoordelen als je twijfelt.